EBA/GL/2019/02 2019. február 25. Iránymutatás a kiszervezésről
1. Megfelelőségi és jelentéstételi kötelezettségek Az iránymutatások jogállása 1. Az e dokumentumban szereplő iránymutatásokat az EBH az 1093/2010/EU rendelet 1 16. cikkének rendelkezéseivel összhangban adta ki. Az 1093/2010/EU rendelet 16. cikkének (3) bekezdése szerint a hatáskörrel rendelkező hatóságok és pénzügyi intézmények minden erőfeszítést megtesznek azért, hogy megfeleljenek az iránymutatásoknak. 2. Az iránymutatások az EBH azzal kapcsolatos álláspontját ismertetik, hogy mi a megfelelő felügyeleti gyakorlat a Pénzügyi Felügyeletek Európai Rendszerében, vagy miként kell alkalmazni az uniós jogot egy adott területen belül. Az 1093/2010/EU rendelet 4. cikkének (2) bekezdésében meghatározott, az iránymutatások hatálya alá tartozó hatáskörrel rendelkező hatóságok azzal tesznek eleget az iránymutatásnak, hogy megfelelően beépítik azt saját felügyeleti gyakorlataikba (pl. saját jogi kereteik vagy felügyeleti folyamataik módosításával), beleértve azokat az eseteket is, amikor az iránymutatások elsősorban intézményekre és pénzforgalmi intézményekre vonatkoznak. Jelentéstételi követelmények 3. Az 1093/2010/EU rendelet 16. cikkének (3) bekezdése értelmében az egyes illetékes hatóságok ([éééé.hh.nn])-ig kötelesek értesíteni az EBH-t arról, hogy megfelelnek-e vagy meg kívánnak-e felelni ennek az iránymutatásnak, és ha nem, úgy tájékoztatniuk kell az EBH-t a meg nem felelés indokairól. Amennyiben a fenti határidőig ilyen értesítés nem érkezik, az EBH úgy tekinti, hogy a szóban forgó hatáskörrel rendelkező hatóság nem felel meg az iránymutatásoknak. Az értesítéseket EBA/GL/2019/02 hivatkozással az EBH honlapján szereplő formanyomtatványon kell megküldeni a compliance@eba.europa.eu címre. Az értesítést olyan személyeknek kell benyújtaniuk, akik megfelelő felhatalmazással rendelkeznek arra, hogy a hatáskörrel rendelkező hatóságuk nevében nyilatkozzanak annak megfeleléséről. Az EBH-nak megfeleléssel kapcsolatban bekövetkező bármely változást is be kell jelenteni. 4. Az értesítéseket a 16. cikk (3) bekezdésével összhangban közzéteszik az EBH honlapján. 1 Az Európai Parlament és a Tanács 2010. november 24-i 1093/2010/EU rendelete az európai felügyeleti hatóság (Európai Bankhatóság) létrehozásáról, a 716/2009/EK határozat módosításáról és a 2009/78/EK bizottsági határozat hatályon kívül helyezéséről (HL L 331., 2010.12.15., 12. o.).
2. Tárgy, alkalmazási kör és fogalommeghatározások Tárgy 5. Ezek az iránymutatások az intézmények, pénzforgalmi intézmények és elektronikuspénzkibocsátó intézmények által a funkciók kiszervezésekor, különösen a kritikus vagy fontos funkciók kiszervezése tekintetében megvalósítandó belső irányítási rendszereket határozzák meg, ideértve a megbízható kockázatkezelést is. 6. Az iránymutatások meghatározzák, hogy az illetékes hatóságoknak hogyan kell felülvizsgálniuk és nyomon követniük az előző bekezdésben említett rendszereket a 2013/36/EU irányelv 97. cikkével 2, a felügyeleti felülvizsgálati és értékelési folyamattal (SREP), az (EU) 2015/2366 irányelv 3 9. cikkének (3) bekezdésével, a 2009/110/EK irányelv 5. cikkének (5) bekezdésével 4 összefüggésben a szervezetek engedélyük feltételeinek való folyamatos megfelelésének nyomon követélével kapcsolatos feladatuk ellátása révén. Címzettek 7. Az iránymutatás címzettjei az 575/2013/EU rendelet 5 4. cikke (1) bekezdésének 40. pontjában szereplő fogalommeghatározás szerinti illetékes hatóságok beleértve az Európai Központi Bankot az 1024/2013/EU rendelet 6 által rájuk ruházott feladatokkal kapcsolatos kérdések vonatkozásában, az 575/2013/EU rendelet 4. cikke (1) bekezdésének 3. pontjában szereplő fogalommeghatározás szerinti intézmények, az (EU) 2015/2366 irányelv 4. cikkének 4. pontjában szereplő fogalommeghatározás szerinti pénzforgalmi intézmények és a 2009/110/EK irányelv 2. cikke 1. pontjának értelmében vett elektronikuspénz-kibocsátó intézmények. A kizárólag az (EU) 2015/2366 irányelv I. mellékletének 8. pontjában szereplő, számlainformációkat összesítő szolgáltatást nyújtó szolgáltatók az említett irányelv 33. cikkével összhangban nem tartoznak ezen iránymutatások hatálya alá. 2 Az Európai Parlament és a Tanács 2013. június 26-i 2013/36/EU irányelve a hitelintézetek tevékenységéhez való hozzáférésről és a hitelintézetek és befektetési vállalkozások prudenciális felügyeletéről, a 2002/87/EK irányelv módosításáról, a 2006/48/EK és a 2006/49/EK irányelv hatályon kívül helyezéséről. 3 Az Európai Parlament és a Tanács (EU) 2015/2366 irányelve (2015. november 25.) a belső piaci pénzforgalmi szolgáltatásokról és a 2002/65/EK, a 2009/110/EK és a 2013/36/EU irányelv és a 1093/2010/EU rendelet módosításáról, valamint a 2007/64/EK irányelv hatályon kívül helyezéséről. 4 Az Európai Parlament és a Tanács 2009. szeptember 16-i 2009/110/EK irányelve az elektronikuspénz-kibocsátó intézmények tevékenységének megkezdéséről, folytatásáról és prudenciális felügyeletéről, a 2005/60/EK és a 2006/48/EK irányelv módosításáról, valamint a 2000/46/EK irányelv hatályon kívül helyezéséről. 5 Az Európai Parlament és a Tanács 2013. június 26-i 575/2013/EU rendelete a hitelintézetekre és befektetési vállalkozásokra vonatkozó prudenciális követelményekről és a 648/2012/EU rendelet módosításáról (HL L 176., 2013.6.27., 1. o.). 6 A Tanács 1024/2013/EU rendelete (2013. október 15.) az Európai Központi Banknak a hitelintézetek prudenciális felügyeletére vonatkozó politikákkal kapcsolatos külön feladatokkal történő megbízásáról.
8. Ezen iránymutatások alkalmazásában a pénzforgalmi intézményekre való hivatkozásokba beleértendők az elektronikuspénz-kibocsátó intézmények is, a pénzforgalmi szolgáltatásokra való hivatkozások pedig magukban foglalják az elektronikus pénz kibocsátását is. Alkalmazási kör 9. A 2014/65/EU irányelv 7 és az (EU) 2017/565 felhatalmazáson alapuló bizottsági rendelet 8 sérelme nélkül (amely a befektetési szolgáltatásokat nyújtó és befektetési tevékenységeket folytató intézmények általi kiszervezésre vonatkozó követelményeket, valamint az Európai Értékpapír-piaci Hatóság által a befektetési szolgáltatásokra és tevékenységekre vonatkozóan kiadott releváns iránymutatásokat tartalmaz) a 2013/36/EU irányelv 3. cikke (1) bekezdésének 3. pontjában meghatározott intézményeknek egyéni, szubkonszolidált és konszolidált alapon is meg kell felelniük ezen iránymutatásoknak. Az egyéni alapon történő alkalmazás alól az illetékes hatóságok a 2013/36/EU irányelv 21. cikke vagy a 2013/36/EU irányelv 109. cikkének (1) bekezdése és az 575/2013/EU rendelet 7. cikke alapján, mentességet adhatnak. A 2013/36/EU irányelv hatálya alá tartozó intézményeknek a 2013/36/EU irányelv 21. cikkében és 108 110. cikkében foglaltaknak megfelelően konszolidált és szubkonszolidált alapon kell megfelelniük az említett irányelvnek és ezen iránymutatásoknak. 10. Az (EU) 2015/2366 irányelv 8. cikke (3) bekezdésének és a 2009/110/EK irányelv 5. cikke (7) bekezdésének a sérelme nélkül a pénzforgalmi intézményeknek és az elektronikuspénzkibocsátó intézményeknek egyéni alapon kell megfelelniük ezen iránymutatásoknak. 11. Ezen iránymutatásoknak az intézmények, a pénzforgalmi intézmények és az elektronikuspénzkibocsátó intézmények felügyeletéért felelős illetékes hatóságoknak is meg kell felelniük. Fogalommeghatározások 12. Eltérő rendelkezés hiányában az iránymutatások a 2013/36/EU irányelvben, az 575/2013/EU rendeletben, a 2009/110/EK irányelvben, az (EU) 2015/2366 irányelvben, valamint az EBH belső irányításról szóló iránymutatásaiban 9 használt és meghatározott fogalmakat azokkal egyező módon értelmezik. Ezen túlmenően az iránymutatás alkalmazásában a következő fogalmak az alábbi jelentéssel bírnak: Kiszervezés: egy intézmény, pénzforgalmi intézmény vagy elektronikuspénz-kibocsátó intézmény és egy szolgáltató közötti bármilyen formájú 7 Az Európai Parlament és a Tanács 2014. május 15-i 2014/65/EU irányelve a pénzügyi eszközök piacairól, valamint a 2002/92/EK irányelv és a 2011/61/EU irányelv módosításáról (HL L 173., 2014.6.12., 349. o.). 8 A Bizottság 2016. április 25-i (EU) 2017/565 felhatalmazáson alapuló rendelete a 2014/65/EU európai parlamenti és tanácsi irányelvnek a befektetési vállalkozások szervezeti követelményei és működési feltételei, valamint az irányelv alkalmazásában meghatározott kifejezések tekintetében történő kiegészítéséről (HL L 87., 2017.3.31., 1. o.). 9 https://eba.europa.eu/regulation-and-policy/internal-governance/guidelines-on-internal-governance-revised-
Funkció: megállapodás, amelynek alapján az adott szolgáltató egy olyan folyamatot végez, szolgáltatást nyújt vagy tevékenységet lát el, amelyet máskülönben az intézmények, pénzforgalmi intézmények és elektronikuspénzkibocsátó intézmények látnának el. bármilyen folyamat, szolgáltatás vagy tevékenység. az ezen iránymutatások 4. szakaszában Kritikus vagy fontos funkció 10 : meghatározottak szerint kritikusnak vagy fontosnak minősülő bármely funkció. azt a helyzetet írja le, amikor a kiszervezési Továbbadott kiszervezés: megállapodás szerinti szolgáltató valamely kiszervezett funkciót továbbad egy másik szolgáltatónak. 11 olyan harmadik fél szervezet, amely kiszervezési Szolgáltató: megállapodás alapján vállalja valamely kiszervezett folyamat, szolgáltatás vagy tevékenység, illetve annak egy részének elvégzését. Felhőszolgáltatások: olyan szolgáltatások, amelyeket felhőalapú számítástechnika, azaz egy olyan modell felhasználásával biztosítanak, amely lehetővé teszi a mindenhonnan elérhető, kényelmes, igény szerinti hálózati hozzáférést az egységesített konfigurálható számítástechnikai forrásokhoz (például hálózatok, szerverek, tárolás, alkalmazások és szolgáltatások), amelyek gyorsan rendelkezésre bocsáthatók és minimális irányítási erőfeszítéssel vagy Nyilvános felhő: szolgáltatói közreműködéssel elindíthatók. a nagyközönség által nyilvános használatra elérhető felhőalapú infrastruktúra. Magánfelhő: egyetlen intézmény vagy pénzforgalmi intézmény kizárólagos használatára elérhető felhőalapú infrastruktúra. Közösségi felhő: intézményekből vagy pénzforgalmi intézményekből álló konkrét közösség kizárólagos használatára elérhető felhőalapú infrastruktúra, ideértve az egyetlen csoportot képező különböző intézményeket is. 10 A kritikus vagy fontos funkció megfogalmazás a 2014/65/EU (MiFID II. irányelv) irányelvben és a MiFID II. irányelvet kiegészítő (EU) 2017/565 felhatalmazáson alapuló bizottsági rendeletben használt megfogalmazáson alapul, és a használata kizárólag a kiszervezésre vonatkozik; nem kapcsolódik a kritikus funkciók helyreállítási és szanálási kerethez kapcsolódó, a 2014/59/EU irányelv (a bankok helyreállításáról és szanálásáról szóló irányelv) 2. cikke (1) bekezdésének 35. pontjában foglalt fogalommeghatározásához. 11 Az értékelés tekintetében a 3. szakaszban foglalt rendelkezések alkalmazandók; a továbbadott kiszervezést az EBH más dokumentumai kiszervezési láncként vagy láncszerű kiszervezésként is említik.
Hibrid felhő: két vagy több különböző felhőalapú infrastruktúrából álló felhőalapú infrastruktúra. Vezető testület: valamely intézménynek vagy pénzforgalmi intézménynek a nemzeti joggal összhangban kinevezett testülete(i), amely(ek) jogosult(ak) az intézmény vagy a pénzforgalmi intézmény stratégiájának, célkitűzéseinek és általános irányításának meghatározására, és amely(ek) felügyeli(k) és monitorozza (monitorozzák) a vezetői döntéshozatalt, és amely(ek)be beletartoznak azok a személyek, akik az intézmény vagy pénzforgalmi intézmény üzleti tevékenységét ténylegesen irányítják, valamint a pénzforgalmi intézmény irányításáért felelős igazgatók és személyek.
3. Végrehajtás Alkalmazás időpontja 13. A 63. bekezdés b) pontja kivételével ezen iránymutatások 2019. szeptember 30-tól kezdődően az e napon vagy e napot követően létrejött, felülvizsgált vagy módosított összes kiszervezési megállapodásra alkalmazandók. A 63. bekezdés b) pontja 2021. december 31-től alkalmazandó. 14. Az intézményeknek és pénzforgalmi intézményeknek felül kell vizsgálniuk és megfelelően módosítaniuk kell a kiszervezési megállapodásokat azzal a céllal, hogy azok megfeleljenek ezen iránymutatásoknak. 15. Amennyiben a kritikus vagy fontos funkciókra vonatkozó kiszervezési megállapodások felülvizsgálata 2021. december 31-ig nem fejeződik be, az intézményeknek és a pénzforgalmi intézményeknek erről tájékoztatniuk kell illetékes hatóságukat, beleértve a felülvizsgálat befejezése érdekében tervezett intézkedéseket vagy a lehetséges kilépési stratégiát is. Átmeneti rendelkezések 16. Az intézményeknek és pénzforgalmi intézményeknek ezen iránymutatásokkal összhangban az egyes létező kiszervezési megállapodások első megújításának dátumát követően, de legkésőbb 2021. december 31-ig el kell készíteniük az összes létező kiszervezési megállapodás dokumentációját; a felhőszolgáltatóknak történő kiszervezésre vonatkozó megállapodásokon kívül. Hatályon kívül helyezés 17. Az Európai Bankfelügyeleti Bizottság (CEBS) kiszervezésről szóló, 2006. december 14-i iránymutatásai és a felhőszolgáltatóknak történő kiszervezésről szóló EBH-iránymutatások 12 2019. szeptember 30-ával hatályukat vesztik. 12 Ajánlások felhőszolgáltatóknak történő kiszervezésről (EBA/REC/2017/03).
4. A kiszervezésről szóló iránymutatás I. cím Arányosság: csoportos alkalmazás és intézményvédelmi szervezetek 1 Arányosság 18. A jelen iránymutatásnak való megfeleléskor vagy e megfelelés ellenőrzésekor az intézményeknek, pénzforgalmi intézményeknek és illetékes hatóságoknak az arányosság elvére is tekintettel kell lenniük. Az arányosság elvének célja annak biztosítása, hogy a jogszabályi követelmények célkitűzéseinek hatékony megvalósítása érdekében a többek között a kiszervezésre vonatkozó vezető testületi döntések összhangban álljanak az intézmény vagy pénzforgalmi intézmény egyedi kockázati profiljával, jellegével és üzleti modelljével, valamint tevékenységei nagyságrendjével és összetettségével. 19. A jelen iránymutatásban szereplő követelmények alkalmazásakor az intézményeknek és pénzforgalmi intézményeknek figyelembe kell venniük a kiszervezett feladatok összetettségét, a kiszervezésből eredő kockázatokat, a kiszervezett funkció kritikus jellegét vagy jelentőségét és a kiszervezésnek a tevékenységük folytonosságára gyakorolt lehetséges hatásait. 20. Az arányosság elvének alkalmazásakor az intézményeknek, pénzforgalmi intézményeknek 13 és illetékes hatóságoknak figyelembe kell venniük az EBH belső irányításról szóló iránymutatásának I. címében, a 2013/36/EU irányelv 74. cikkének (2) bekezdésével összhangban meghatározott kritériumokat. 2 Olyan csoportok és intézmények által végzett kiszervezés, amelyek valamely intézményvédelmi szervezet tagjai 21. A 2013/36/EU irányelv 109. cikkének (2) bekezdésével összhangban a jelen iránymutatást szubkonszolidált és összevont alapon egyaránt alkalmazni kell, figyelembe véve a konszolidáció prudenciális körét. 14 Ezért az uniós szintű anyavállalatoknak vagy a valamely tagállamban található anyavállalatnak biztosítania kell, hogy a leányvállalatai a pénzforgalmi intézményeket is beleértve által alkalmazott belső irányítási rendszerek, eljárások és 13 A pénzforgalmi intézményeknek a pénzforgalmi szolgáltatásokról szóló második irányelv szerinti, a pénzforgalmi intézmények és elektronikuspénz-kibocsátó intézmények engedélyezéséhez szükséges információk megadásáról, valamint a számlainformációkat összesítő szolgáltatók regisztrációjáról szóló EBH-iránymutatásokat is figyelembe kell venniük, amelyek az EBH honlapján, a következő linken érhetők el: https://www.eba.europa.eu/regulation-andpolicy/payment-services-and-electronic-money/guidelines-on-security-measures-for-operational-and-security-risksunder-the-psd2 14 A konszolidáció körét illetően lásd az 575/2013/EU rendelet 4. cikke (1) bekezdésének 47. és 48. pontját.
mechanizmusok következetesek, egységesek és a jelen iránymutatás valamennyi releváns szinten történő eredményes alkalmazásához megfelelőek legyenek. 22. A (21) bekezdéssel összhangban az intézményeknek és pénzforgalmi intézményeknek, valamint azon intézményeknek, amelyek valamely intézményvédelmi szervezet tagjaként központilag előírt irányítási rendszereket alkalmaznak, meg kell felelniük a következő feltételeknek: a. ha ezek az intézmények vagy pénzforgalmi intézmények a csoporthoz vagy az intézményvédelmi szervezethez tartozó szolgáltatókkal kötöttek kiszervezési megállapodást 15, az ezen intézmények vagy pénzforgalmi intézmények vezető testülete a szóban forgó kiszervezési megállapodások esetében is teljes felelősséggel tartozik az összes szabályozási követelmény betartásáért és a jelen iránymutatás eredményes alkalmazásáért; b. ha ezek az intézmények vagy pénzforgalmi intézmények a belső ellenőrzési funkciók operatív feladatait a csoporthoz vagy az intézményvédelmi szervezethez tartozó szolgáltatók részére szervezik ki, a kiszervezési megállapodások nyomon követése és ellenőrzése érdekében az intézményeknek e kiszervezési megállapodások esetében is biztosítaniuk kell többek között a megfelelő, a kiszervező felé benyújtott jelentések révén, hogy a szóban forgó operatív feladatokat hatékonyan végzik. 23. A (22) bekezdésben foglaltakon túl az olyan csoporthoz tartozó intézményeknek és pénzforgalmi intézményeknek, amelyek nem részesültek a 2013/36/EU rendelet 109. cikke és az 575/2013/EU rendelet 7. cikke szerinti mentességben, azoknak az intézményeknek, amelyek központi szervek vagy amelyek tartósan kapcsolódnak egy, a 2013/36/EU irányelv 21. cikke értelmében mentességben részesült központi szervhez, vagy az intézményvédelmi szervezethez tartozó intézményeknek figyelembe kell venniük a következőket: a. ha a kiszervezés operatív nyomon követését központosítják (pl. a kiszervezési megállapodások nyomon követéséről szóló keretmegállapodás részeként), az intézményeknek és pénzforgalmi intézményeknek biztosítaniuk kell, hogy legalább a kiszervezett kritikus vagy fontos funkciók esetében megvalósulhasson a szolgáltató független ellenőrzése és az adott intézmény vagy pénzforgalmi intézmény általi megfelelő felvigyázása, beleértve legalább évi rendszerességgel és a központosított nyomon követési funkció kérésére az olyan jelentések benyújtásával a kiszervező számára, amelyek legalább a kockázatértékelés és a teljesítménymonitoring összefoglalóját tartalmazzák. Ezen túlmenően az intézményeknek és pénzforgalmi intézményeknek a központosított nyomon követési funkciót ellátó szervezettől meg kell kapniuk a kritikus vagy fontos kiszervezésekre vonatkozó ellenőrzési jelentések összefoglalóját, kérésre pedig a teljes ellenőrzési jelentést; 15 A CRR (tőkekövetelmény-rendelet) 113. cikkének (7) bekezdésével összhangban az intézményvédelmi program egy olyan, szerződésben foglalt vagy jogszabályban meghatározott kölcsönös felelősségvállalási rendszer, amely védi ezeket az intézményeket, és mindenekelőtt szükség esetén biztosítja azok likviditását és hosszú távú fizetőképességét a fizetésképtelenség elkerülése érdekében.
b. az intézményeknek és pénzforgalmi intézményeknek biztosítaniuk kell, hogy vezető testületüket megfelelően tájékoztassák a szolgáltatókra vonatkozó tervezett változásokról és e változásoknak az ellátott kritikus vagy fontos funkciókra gyakorolt lehetséges hatásáról, beleértve a kockázatértékelés összefoglalóját, amely tartalmazza a jogi kockázatokat, a szabályozó követelményeknek való megfelelést és a szolgáltatási szintekre gyakorolt hatásokat, hogy felmérhessék e változások hatását; c. amennyiben az adott csoporthoz tartozó intézmények és pénzforgalmi intézmények, a központi szervhez kapcsolódó intézmények vagy az intézményvédelmi szervezethez tartozó intézmények a kiszervezési megállapodások kiszervezést megelőző központi értékelésre támaszkodnak lásd a 12. szakaszt, minden egyes intézménynek és pénzforgalmi intézménynek meg kell kapnia az értékelés összefoglalóját, és biztosítani kell, hogy az értékelés vegye figyelembe a döntéshozatal során az egyes intézményekegyedi felépítését és kockázatait; d. amennyiben az összes létező kiszervezési megállapodás 11. szakaszban említett nyilvántartását egy adott csoporton vagy intézményvédelmi szervezeten belül központilag hozták létre és vezetik, az illetékes hatóságoknak, az összes intézménynek és pénzforgalmi intézménynek lehetőséget kell biztosítani arra, hogy indokolatlan késedelem nélkül hozzájuthasson saját nyilvántartásához. Ez a nyilvántartás tartalmazza az összes kiszervezési megállapodást, az adott csoporthoz vagy intézményvédelmi szervezethez tartozó szolgáltatókkal kötött kiszervezési megállapodásokat is beleértve; e. amennyiben ezek az intézmények és pénzforgalmi intézmények az intézményvédelmi szervezet keretében vagy központi szerv által csoportszinten létrehozott kritikus vagy fontos funkció esetében valamely kilépési terv alapján járnak el, valamennyi intézménynek és pénzforgalmi intézménynek meg kell kapnia e terv összefoglalóját, és meg kell győződnie a terv eredményesen végrehajthatóak szükség esetén. 24. Amennyiben a 2013/36/EU irányelv 21. cikke vagy a 2013/36/EU irányelv 109. cikkének (1) bekezdése értelmében, az 575/2013/EU rendelet 7. cikkével összefüggésben mentesség megadására került sor, a jelen iránymutatás rendelkezéseit a valamely tagállamban található anyavállalatnak saját magára és leányvállalataira, valamint a központi szervnek és a hozzá kapcsolódó intézményeknek az egészére kell alkalmaznia. 25. Azoknak az intézményeknek és pénzforgalmi intézményeknek, amelyek egy uniós anyavállalat vagy valamely tagállamban található anyavállalat leányvállalatai, amelyekre nem adtak meg a 2013/36/EU irányelv 21. cikke vagy a 2013/36/EU irányelv 109. cikkének (1) bekezdése alapján, az 575/2013/EU rendelet 7. cikkével összefüggésben mentességet, egyéni alapon kell biztosítaniuk a jelen iránymutatásnak való megfelelésüket.
II. cím A kiszervezési megállapodások értékelése 3 Kiszervezés 26. Az intézményeknek és pénzforgalmi intézményeknek meg kell állapítaniuk, hogy egy harmadik féllel kötött megállapodás a kiszervezés fogalommeghatározásába tartozik-e. Ezen értékelés keretében figyelembe kell venni azt is, hogy a szolgáltatónak kiszervezett funkciót (vagy annak egy részét) a szóban forgó szolgáltató ismétlődő vagy folyamatos jelleggel látja-e el, és hogy e funkció (vagy annak egy része) általában azon funkciók körébe tartozik-e, amelyeket az intézmények vagy pénzforgalmi intézmények látnak el vagy reálisan elláthatnának még akkor is, ha az intézmény vagy pénzforgalmi intézmény korábban ezt a funkciót nem saját maga látta el. 27. Amennyiben a szolgáltatóval kötött megállapodás több funkcióra is kiterjed, az intézményeknek és pénzforgalmi intézményeknek az értékelés keretében a megállapodás valamennyi vonatkozását figyelembe kell venniük, például ha a nyújtott szolgáltatás adattároló hardvert és biztonsági adatmentést is tartalmaz, mindkét vonatkozást együttesen kell figyelembe venni. 28. Általános alapelv, hogy az intézmények és pénzforgalmi intézmények a következőket nem tekinthetik kiszervezésnek: a. olyan funkció, amelyet a jogszabályok értelmében szolgáltatónak kell elvégeznie, pl. a jogszabályban előírt könyvvizsgálat; b. piaci információs szolgáltatások (pl. a Bloomberg, Moody s, Standard & Poor s, Fitch által végzett adatszolgáltatás); c. globális hálózati infrastruktúrák (pl. Visa, MasterCard); d. klíring- és elszámolási megállapodások elszámolóházak, központi szerződő felek és elszámolási intézmények, valamint azok tagjai között; e. globális pénzügyi üzenetkezelési infrastruktúrák, amelyek az illetékes hatóságok felvigyázása alá tartoznak; f. levelező banki szolgáltatások; és g. olyan szolgáltatások igénybe vétele, amelyeket egyébként az intézmény vagy pénzforgalmi intézmény nem nyújtana (pl. építészmérnöki tanácsadás, jogi vélemény biztosítása, valamint bíróság és közigazgatási szervek előtti képviselet, takarítás, kertészeti szolgáltatások és az intézmény vagy pénzforgalmi intézmény épületeinek fenntartása, egészségügyi szolgáltatások, vállalati autók szervizelése, vendéglátás, ételés italautomaták üzemeltetése, irodai szolgáltatások, utazásszervezés, postahivatali szolgáltatások, recepciósok, titkárok és telefonközpont-kezelők), áruk (pl.
műanyagkártyák, kártyaolvasók, irodaszerek, személyi számítógépek, bútorok) vagy közművek (pl. villamos energia, gáz, víz, telefonvonal). 4 Kritikus vagy fontos funkciók 29. Az intézményeknek és pénzforgalmi intézményeknek egy adott funkciót mindig kritikusnak vagy fontosnak kell tekinteniük az alábbi helyzetekben: 16 a. ha a működésében bekövetkezett hiányosság vagy hiba lényegesen gyengítené: i. ezen intézmények vagy pénzforgalmi intézmények folyamatos megfelelését az engedélyezéséhez szükséges feltételeknek vagy a 2013/36/EU irányelvből, az 575/2013/EU rendeletből, a 2014/65/EU irányelvből, az (EU) 2015/2366 irányelvből és a 2009/110/EK irányelvből eredő egyéb kötelezettségeknek és szabályozási kötelezettségeknek; ii. pénzügyi teljesítményüket; vagy iii. banki és pénzforgalmi szolgáltatásaiknak és tevékenységeiknek megbízhatóságát vagy folyamatosságát; b. amennyiben a belső ellenőrzési funkciók operatív feladatainak kiszervezésére kerül sor kivéve, ha az értékelés azt állapítja meg, hogy a kiszervezett funkció teljesítésében bekövetkezett hiba vagy a kiszervezett funkció nem megfelelő elvégzése nem gyakorolna káros hatást a belső ellenőrzési funkció hatékonyságára; c. amennyiben a banki tevékenységekhez vagy pénzforgalmi szolgáltatásokhoz tartozó funkciókat olyan mértékben kívánják kiszervezni, hogy az az illetékes hatóság általi engedélyezést igényel 17, lásd a 12.1. szakaszban említetteket. 30. Az intézmények esetében különös figyelmet kell fordítani a funkciók kritikus jellegének vagy fontosságának értékelésére, amennyiben a kiszervezés a 2014/59/EU irányelv 18 2. cikke (1) bekezdésének 35. és 36. pontjában meghatározott, és az intézmények által a Bizottság (EU) 2016/778 felhatalmazáson alapuló rendeletének 19 6. és 7. cikkében megjelölt kritériumok alapján azonosított fő üzletágakkal és kritikus funkciókkal összefüggő funkciókat érinti. A jelen 16 Lásd még a Bizottság 2016. április 25-i, a 2014/65/EU európai parlamenti és tanácsi irányelvnek a befektetési vállalkozások szervezeti követelményei és működési feltételei, valamint az irányelv alkalmazásában meghatározott kifejezések tekintetében történő kiegészítéséről szóló (EU) 2017/565 felhatalmazáson alapuló rendeletének 30. cikkét. 17 Lásd a 2013/36/EU irányelv I. mellékletében felsorolt tevékenységeket. 18 Az Európai Parlament és a Tanács 2014/59/EU irányelve (2014. május 15.) a hitelintézetek és befektetési vállalkozások helyreállítását és szanálását célzó keretrendszer létrehozásáról és a 82/891/EGK tanácsi irányelv, a 2001/24/EK, 2002/47/EK, 2004/25/EK, 2005/56/EK, 2007/36/EK, 2011/35/EU, 2012/30/EU és 2013/36/EU irányelv, valamint az 1093/2010/EU és a 648/2012/EU európai parlamenti és tanácsi rendelet módosításáról (HL L 173., 2014.6.12., 190. o.). 19 A Bizottság (EU) 2016/778 felhatalmazáson alapuló rendelete (2016. február 2.) a 2014/59/EU európai parlamenti és tanácsi irányelvnek a rendkívüli utólagos hozzájárulás teljes összege vagy annak egy része befizetésének elhalasztásához szükséges körülmények és feltételek, a kritikus funkciót megalapozó tevékenységek, szolgáltatások és működési folyamatok meghatározásának, valamint a fő üzletágakat megalapozó üzletágak és a hozzájuk kapcsolódó szolgáltatások meghatározásának kritériumai tekintetében történő kiegészítéséről (HL L 131., 2016.5.20., 41. o.).
iránymutatás alkalmazásának céljából a fő üzletágakhoz tartozó tevékenységek elvégzéséhez szükséges funkciók vagy kritikus funkciók kritikus vagy fontos funkciónak minősülnek, kivéve, ha az intézmény által végzett értékelés azt állapítja meg, hogy a kiszervezett funkció teljesítésében bekövetkezett hiba vagy a kiszervezett funkció nem megfelelő elvégzése nem gyakorolna káros hatást a fő üzletág vagy kritikus funkció operatív folytonosságára. 31. Annak megítéléséhez, hogy a kiszervezési megállapodás kritikus vagy fontos funkcióra vonatkozik-e, az intézményeknek és pénzforgalmi intézményeknek a 12.2. szakaszban felvázolt kockázatértékelés eredményével együtt legalább a következő tényezőket kell figyelembe venniük: a. amennyiben a kiszervezési megállapodás közvetlenül olyan banki tevékenységek vagy pénzforgalmi szolgáltatások 20 nyújtásához kapcsolódik, amelyekre az engedély is vonatkozik; b. a kiszervezett funkcióban keletkezett bármely zavarnak vagy a szolgáltatás megállapodás szerinti szolgáltatási szinten történő teljesítésében bekövetkezett állandó hibának a következőkre gyakorolt potenciális hatása: i. rövid- és hosszú távú pénzügyi rugalmasság és fenntarthatóság, beleértve adott esetben az eszközöket, tőkét, költségeket, forrásokat, likviditást, nyereséget és veszteséget; ii. üzletmenet-folytonosság és operatív ellenálló képesség; iii. működési kockázat, beleértve a magatartással, az információs és kommunikációs technológiákkal (IKT) összefüggő és a jogi kockázatokat; iv. reputációs kockázat; v. ahol értelmezhető: helyreállítás- és szanálás-tervezés, szanálhatóság és működési folytonosság korai beavatkozás, helyreállítási vagy szanálási helyzet esetén; c. a kiszervezési megállapodás alábbi képességeikre gyakorolt lehetséges hatása: i. az összes kockázat azonosítása, nyomon követése és kezelése; ii. iii. az összes jogi és szabályozási követelménynek való megfelelés; a kiszervezett funkció megfelelő ellenőrzéseinek lefolytatása; d. az ügyfeleknek nyújtott szolgáltatásokra gyakorolt lehetséges hatás; 20 Lásd a 2013/36/EU irányelv I. mellékletében felsorolt tevékenységeket.
e. az összes kiszervezési megállapodás, az intézmény vagy pénzforgalmi intézmény ugyanazon szolgáltatónak való összesített kitettsége, valamint a kiszervezési megállapodások ugyanazon üzletágra gyakorolt lehetséges kumulatív hatása; f. bármely érintett üzletág mérete és összetettsége; g. annak lehetősége, hogy a javasolt kiszervezési megállapodást az eredeti megállapodás helyettesítése vagy felülvizsgálata nélkül hosszabbítják meg; h. a javasolt kiszervezési megállapodás másik szolgáltatóra történő, szerződésileg és gyakorlatban történő átruházása amennyiben ez szükséges vagy kívánatos, beleértve a becsült kockázatokat, az üzletmenet folytonosságának akadályait és az ehhez szükséges időkeretet ( helyettesíthetőség ); i. a kiszervezett funkciónak az intézménybe vagy pénzforgalmi intézménybe történő újraintegrálására irányuló képesség, amennyiben ez szükséges vagy kívánatos; j. adatvédelem és a titoktartás megszegése vagy az adatok hozzáférhetősége és integritása biztosításának hiánya által az intézményre vagy pénzforgalmi intézményre és annak ügyfeleire gyakorolt lehetséges hatás, beleértve többek között az (EU) 2016/679 rendeletnek való megfelelést 21. 21 Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet).
III. cím Irányítási keret 5 Megbízható irányítási rendszerek és harmadik felek kockázatai 32. Az általános belső ellenőrzési keretrendszer részeként 22 a belső ellenőrzési mechanizmusokat 23 is beleértve az intézményeknek és pénzforgalmi intézményeknek holisztikus, az egész intézményre vonatkozó kockázatkezelési keretrendszerrel kell rendelkezniük, amely minden üzletágra és belső egységre kiterjed. A keretrendszer alapján az intézményeknek és pénzforgalmi intézményeknek valamennyi kockázatot azonosítaniuk és kezelniük kell, a harmadik felekkel kötött megállapodások által okozott kockázatokat is beleértve. A kockázatkezelési keretrendszernek lehetővé kell tennie az intézmények és pénzforgalmi intézmények számára, hogy a kockázatvállalással kapcsolatban megalapozott döntéseket hozhassanak, és biztosítsák a kockázatkezelési intézkedések megfelelő végrehajtását, a kiberkockázatokat is beleértve. 24 33. Az intézményeknek és pénzforgalmi intézményeknek figyelembe véve az 1. szakasz szerinti arányosság elvét azonosítaniuk, értékelniük, nyomon követniük és kezelniük kell minden, harmadik felekkel kötött megállapodásból eredő kockázatot, amelynek ki vannak vagy ki lehetnek téve, függetlenül attól, hogy ezek a megállapodások kiszervezési megállapodások-e vagy sem. A harmadik felekkel kötött valamennyi, többek között a (26) és a (28) bekezdésben említett megállapodásokból eredő kockázatokat különös tekintettel az operatív kockázatokra a 12.2. szakasszal összhangban kell értékelni. 34. Az intézményeknek és pénzforgalmi intézményeknek biztosítaniuk kell, hogy megfelelnek az (EU) 2016/679 rendelet követelményeinek, a harmadik felekkel kötött és a kiszervezési megállapodásokat is beleértve. 6 Megbízható irányítási rendszerek és kiszervezés 35. A bizonyos funkciók kiszervezése nem eredményezheti a vezető testület felelősségi köreinek delegálását. Az intézményeknek és pénzforgalmi intézményeknek teljes mértékben felelősnek és elszámoltathatónak kell lenniük az összes szabályozási kötelezettség teljesítéséért, beleértve a kritikus vagy fontos funkciók kiszervezésének ellenőrzésére irányuló képességüket. 36. A vezető testület mindenkor teljes mértékben felelős és elszámoltatható legalább a következőkért: 22 Az intézményeknek az EBH belső irányításra vonatkozó iránymutatása V. címét kell figyelembe venniük. 23 Lásd még az (EU) 2015/2366 irányelv (a pénzforgalmi szolgáltatásokról szóló második irányelv, PSD2) 11. cikkét. 24 Lásd még: EBA guidelines on ICT and security risk management (az IKT-ra és a biztonsági kockázatok kezelésére vonatkozó EBH-iránymutatás) (https://eba.europa.eu/-/eba-consults-on-guidelines-on-ict-and-security-riskmanagement), valamint G7 fundamental elements for third-party cyber risk management in the financial sector (a G7 szakértői csoport A harmadik felek kiberkockázatainak kezelésével kapcsolatos alapvető elemek a pénzügyi ágazatban c. nyilatkozata) (https://ec.europa.eu/info/publications/g7-fundamental-elements-cybersecurity-financial-sector_en).
a. annak biztosítása, hogy az intézmény vagy pénzforgalmi intézmény folyamatosan teljesítse azokat a feltételeket, amelyeknek az engedély megtartása érdekében meg kell felelnie, az illetékes hatóság által előírt bármely feltételt is beleértve; b. az intézmény vagy pénzforgalmi intézmény belső szervezete; c. az összeférhetetlenség azonosítása, értékelése és kezelése; d. az intézmény vagy pénzforgalmi intézmény stratégiáinak és szabályzatainak meghatározása (pl. üzleti modell, kockázatvállalási hajlandóság, kockázatkezelési keret); e. az intézmény vagy pénzforgalmi intézmény napi szintű irányításának ellenőrzése, a kiszervezéssel kapcsolatos valamennyi kockázat kezelését is beleértve; valamint f. a vezető testület felügyeleti funkciójában betöltött felvigyázó szerepe, beleértve a vezetőségi döntéshozatal felvigyázását és nyomon követését. 37. A kiszervezés nem csorbíthatja egy adott intézmény vezető testületének tagjaira, igazgatóira, valamint a pénzforgalmi intézmény irányításáért felelős személyekre és kulcsfontosságú feladatot ellátó személyekre vonatkozó alkalmassági követelményeket. Az intézményeknek és pénzforgalmi intézményeknek megfelelő szakértelemmel, továbbá elegendő és megfelelően képzett erőforrással kell rendelkezniük ahhoz, hogy biztosítsák a kiszervezési megállapodások megfelelő irányítását és ellenőrzését. 38. Az intézményeknek és pénzforgalmi intézményeknek: a. egyértelműen körül kell határolniuk a kiszervezési megállapodások dokumentációjához, irányításához és ellenőrzéséhez tartozó felelősségi köröket; b. kellő erőforrást kell rendelkezésre bocsátaniuk az összes jogi és szabályozási követelménynek való megfelelés biztosításához, a jelen iránymutatást is beleértve, valamint az összes kiszervezési megállapodás dokumentációjához és nyomon követéséhez; c. figyelembe véve a jelen iránymutatás 1. szakaszát, a kiszervezésért felelős funkciót kell létrehozniuk vagy ki kell jelölniük egy magas rangú munkatársat, aki közvetlenül a vezető testületnek tartozik elszámolással (pl. valamely ellenőrzési funkciót betöltő, kulcsfontosságú feladatot ellátó személy), és az intézmény belső ellenőrzési keretrendszerének részeként felel a kiszervezési megállapodások kezeléséért és felügyeletéért, valamint a kiszervezési megállapodások dokumentációjának felvigyázásáért. A kisebb és kevésbé összetett intézményeknek vagy pénzforgalmi intézményeknek biztosítaniuk kell legalább a kiszervezési megállapodások kezelésére és ellenőrzésére irányuló feladatok és felelősségi körök egyértelmű megosztását, továbbá a kiszervezési funkciót rábízhatják az intézmény vagy pénzforgalmi intézmény vezető testületének egy tagjára.
39. Az intézményeknek és pénzforgalmi intézményeknek mindenkor biztosítaniuk kell az elégséges működést, és nem válhatnak üres vázzá vagy postafiókcéggé. E célból: a. mindenkor meg kell felelniük az engedélyük szerinti valamennyi feltételnek 25, beleértve azt is, hogy a vezető testület hatékonyan végezze feladatait, ahogyan az a jelen iránymutatás (36) bekezdésében szerepel; b. egyértelmű és átlátható szervezeti keretet és struktúrát kell fenntartaniuk, amely lehetővé teszi számukra a jogi és szabályozási követelményeknek való megfelelés biztosítását; c. amennyiben a belső ellenőrzési funkciók operatív feladatait kiszervezik (pl. csoporton belüli kiszervezés vagy intézményvédelmi szervezeten belüli kiszervezés esetén), megfelelő ellenőrzést kell gyakorolniuk, és képesnek kell lenniük a kritikus vagy fontos funkciók kiszervezésével keletkező kockázatok kezelésére; valamint d. elegendő erőforrással és kapacitással kell rendelkezniük az a) c) pontban foglalt követelményeknek való megfelelés biztosításához. 40. Kiszervezéskor az intézményeknek és pénzforgalmi intézményeknek legalább azt kell biztosítaniuk, hogy: a. saját maguk tudják meghozni és végrehajtani az üzleti tevékenységükre, valamint a kritikus vagy fontos funkciókra vonatkozó döntéseket, a kiszervezett tevékenységeket és funkciókat is beleértve; b. fenntartják az üzletmenetük, valamint az általuk nyújtott banki és pénzforgalmi szolgáltatások rendezettségét; c. a jelenlegi és a tervezett kiszervezési megállapodásokkal kapcsolatos kockázatokat megfelelően azonosítják, értékelik, kezelik és csökkentik, az IKT-val és a pénzügyi technológiával (fintech) kapcsolatos kockázatokat is beleértve; d. az adatok és egyéb információk tekintetében megfelelő titoktartási szabályok legyenek érvényben; e. a szolgáltatókkal fenntartják a releváns információk megfelelő áramlását; 25 Lásd még a 2013/36/EU 8. cikkének (2) bekezdésében említett, a hitelintézetek engedélyezéséhez benyújtandó információkra vonatkozó szabályozástechnikai standardokat, valamint a 2013/36/EU 8. cikkének (3) bekezdésében említett, a hitelintézetek engedélyezéséhez szükséges információnyújtás során alkalmazandó egységes formanyomtatványokra, mintadokumentumokra és eljárásokra vonatkozó végrehajtás-technikai standardokat (https://eba.europa.eu/regulation-and-policy/other-topics/rts-and-its-on-the-authorisation-of-credit-institutions). Pénzforgalmi intézmények esetében lásd a pénzforgalmi szolgáltatásokról szóló (EU) 2015/2366 (PSD2) irányelv szerinti, a pénzforgalmi intézmények és elektronikuspénz-kibocsátó intézmények engedélyezéséhez szükséges információk megadásáról, valamint a számlainformációkat összesítő szolgáltatók regisztrációjáról szóló EBH-iránymutatásokat (https://eba.europa.eu/documents/10180/1904583/final+guidelines+on+authorisations+of+payment+institutions+%2 8EBA-GL-2017-09%29.pdf).
f. a kritikus vagy fontos funkciók kiszervezésére tekintettel képesek legalább a következő intézkedések egyikét a megfelelő időtartalmon belül elvégezni: i. a funkció alternatív szolgáltatóra történő átruházása; ii. a funkció újraintegrálása; vagy iii. a funkciótól függő üzleti tevékenységek felfüggesztése. g. amennyiben a személyes adatok feldolgozását az EU-ban és/vagy harmadik országokban található szolgáltatók végzik, megfelelő intézkedések végrehajtására kerül sor, és az adatokat az (EU) 2016/679 rendeletnek megfelelően dolgozzák fel. 7 Kiszervezési szabályzat 41. Az intézmény vagy pénzforgalmi intézmény vezető testülete 26, amely kiszervezési megállapodásokat kötött, vagy ilyen megállapodások megkötését tervezi, rendszeresen felülvizsgálja és aktualizálja írásos kiszervezési szabályzatát, és biztosítja annak adott esetben egyéni, szubkonszolidált vagy összevont alapon történő végrehajtását. Az intézmények esetében a kiszervezési szabályzatnak összhangban kell állnia a belső irányításról szóló EBHiránymutatás 8. szakaszával, és figyelembe kell vennie különösen az említett iránymutatás 18. szakaszában (új termékek és jelentős változások) meghatározott követelményeket. A pénzforgalmi intézmények szintén összehangolhatják szabályzataikat a belső irányításról szóló EBH-iránymutatás 8. és 18. szakaszával. 42. A szabályzatnak tartalmaznia kell a kiszervezési megállapodások életciklusának főbb szakaszait, és meg kell határoznia a kiszervezéssel kapcsolatos elveket, felelősségi köröket és folyamatokat. A szabályzatnak elsősorban legalább a következőkre kell kiterjednie: a. a vezető testület felelősségi körei a (36) bekezdéssel összhangban, beleértve adott esetben a kritikus vagy fontos funkciók kiszervezésével kapcsolatos döntéshozatalban való részvételét; b. az üzletágaknak, belső ellenőrzési funkcióknak és egyéb személyeknek a kiszervezési megállapodással kapcsolatos szerepvállalása; c. a kiszervezési megállapodások tervezése, a következőket is beleértve: i. a kiszervezési megállapodásokra vonatkozó ügymeneti követelmények meghatározása; 26 Lásd még a pénzforgalmi szolgáltatásokról szóló második irányelv (PSD2) szerinti, a pénzforgalmi szolgáltatások működési és biztonsági kockázataira vonatkozó biztonsági intézkedésekről szóló EBH-iránymutatást, amely itt érhető el: https://www.eba.europa.eu/regulation-and-policy/payment-services-and-electronic-money/guidelines-on-securitymeasures-for-operational-and-security-risks-under-the-psd2
ii. a kritikus vagy fontos funkciók azonosítását szolgáló, többek között a 4. szakaszban említett kritériumok és folyamatok; iii. a kockázatoknak a 12.2. szakasznak megfelelően történő azonosítása, értékelése és kezelése; iv. a leendő szolgáltatók átvilágítása, beleértve a 12.3. szakaszban előírt intézkedéseket; v. az esetleges összeférhetetlenségek azonosítására, értékelésére, kezelésére és mérséklésére szolgáló, a 8. szakasszal összhangban álló eljárások; vi. az üzletmenet-folytonosság tervezése a 9. szakasszal összhangban; vii. az új kiszervezési megállapodások jóváhagyási folyamata; d. a kiszervezési megállapodások végrehajtása, nyomon követése és kezelése, többek között: i. a szolgáltató teljesítményének a 14. szakasz szerinti folyamatos értékelése; ii. a kiszervezési megállapodással vagy a szolgáltatóval (pl. pénzügyi helyzetével, szervezeti vagy tulajdonosi struktúrájával, az alvállalkozónak történő további kiszervezéssel) kapcsolatos változások bejelentésére és a bejelentésre történő válaszadásra vonatkozó eljárások; iii. független felülvizsgálat és a jogi és szabályozási követelményeknek és irányelveknek való megfelelés ellenőrzése; iv. meghosszabbítási folyamatok; e. dokumentáció és nyilvántartás vezetése, figyelembe véve a 11. szakaszban ismertetett követelményeket; f. kilépési stratégiák és felmondási eljárások, beleértve minden egyes kiszervezendő kritikus vagy fontos funkciókra vonatkozó dokumentált kilépési tervet, amennyiben az ilyen kilépés lehetségesnek minősül, figyelembe véve a szolgáltatás esetleges zavarait vagy a kiszervezési megállapodás váratlan megszűnését. 43. A kiszervezési szabályzatnak különbséget kell tennie az alábbiak között: a. a kritikus vagy fontos funkciók kiszervezése és egyéb kiszervezési megállapodások; b. illetékes hatóság által engedélyezett és engedéllyel nem rendelkező szolgáltatók részére történő kiszervezés;
c. a csoporton belül kiszervezési megállapodások, ugyanazon intézményvédelmi szervezeten belül kötött kiszervezési megállapodások (beleértve a külön-külön vagy együttesen az intézményvédelmi szervezethez tartozó intézmények teljes tulajdonában álló szervezeteket) és a csoporthoz nem tartozó szervezetek részére történő kiszervezés; valamint d. a valamely tagállamban és harmadik országokban található szolgáltatók részére történő kiszervezés. 44. Az intézményeknek és pénzforgalmi intézményeknek biztosítaniuk kell, hogy a szabályzat kiterjedjen a kritikus vagy fontos kiszervezési megállapodások alábbi lehetséges hatásainak azonosítására, és hogy ezeket a döntéshozatali folyamatban is vegyék figyelembe: a. az intézmény kockázati profilja; b. a szolgáltató felvigyázására és a kockázatok kezelésére irányuló képesség; c. üzletmenet-folytonossági intézkedések; és d. az üzleti tevékenység folytatása. 8 Összeférhetetlenség 45. Az intézményeknek a belső irányításról szóló EBH-iránymutatás IV. címének 11. szakaszával összhangban 27 és a pénzforgalmi intézményeknek azonosítaniuk, értékelniük és kezelniük kell a kiszervezési megállapodásaikkal kapcsolatos összeférhetetlenségeket. 46. Amennyiben a kiszervezés érdemi összeférhetetlenséget eredményez, akár az egyazon csoporthoz vagy intézményvédelmi szervezethez tartozó szervezetek között, az intézményeknek és pénzforgalmi intézményeknek meg kell hozniuk a szóban forgó összeférhetetlenség kezelését szolgáló intézkedéseket. 47. Amennyiben a funkciókat olyan szolgáltató látja el, amely egy csoport része vagy intézményvédelmi szervezet tagja, vagy amely az adott intézménynek, pénzforgalmi intézménynek, csoportnak vagy intézményvédelmi szervezethez tartozó intézményeknek a tulajdonában áll, a kiszervezett szolgáltatásra vonatkozó feltételeket a pénzügyi feltételeket is beleértve a szokásos piaci feltételek alapján kell meghatározni. Azonban a szolgáltatások árképzésén belül az adott csoporthoz vagy intézményvédelmi szervezethez tartozó több intézmény részére nyújtott, ugyanazon vagy hasonló szolgáltatásokból eredő szinergiákat ki lehet használni, amennyiben a szolgáltató önállóan is életképes marad; egy adott csoporton belül ennek a csoporthoz tartozó bármely másik szervezet mulasztásától függetlenül kell teljesülnie. 27 A pénzforgalmi intézmények is összehangolhatják szabályzataikat az említett iránymutatással.
9 Üzletmenet-folytonossági tervek 48. Az intézményeknek a 2013/36/EU irányelv 85. cikkének (2) bekezdésével és az EBH belső irányításról szóló iránymutatásának 28 VI. címével összhangban, valamint a pénzforgalmi intézményeknek a kritikus vagy fontos funkciók kiszervezése tekintetében megfelelő üzletmenet-folytonossági tervet kell bevezetniük, fenntartaniuk és rendszeresen ellenőrizniük. A kiszervezett funkciók tekintetében az adott csoporthoz vagy intézményvédelmi szervezethez tartozó intézmények és pénzforgalmi intézmények központilag kialakított üzletmenetfolytonossági tervekre is támaszkodhatnak. 49. Az üzletmenet-folytonossági terveknek figyelembe kell venniük azt a lehetséges helyzetet, hogy a kiszervezett kritikus vagy fontos funkciók ellátása elfogadhatatlan szintre romlik, vagy egyáltalán nem működik. Ezeknek a terveknek a fizetésképtelenség vagy a szolgáltatóknál keletkező egyéb hibák lehetséges hatását, és adott esetben a szolgáltató székhelye szerinti jogrendszerben tapasztalható politikai kockázatokat is figyelembe kell venniük. 28 Itt érhető el: https://eba.europa.eu/regulation-and-policy/internal-governance/guidelines-on-internal-governancerevised-
10 Belső ellenőrzési funkció 50. A belső ellenőrzési funkció 29 tevékenységeinek kockázatalapú megközelítés alapján a kiszervezett tevékenységek független felülvizsgálatára is ki kell terjedniük. Az ellenőrzési tervnek 30 és programnak különösen a kiszervezésre kritikus vagy fontos funkciókra vonatkozó kiszervezési megállapodásokat kell tartalmaznia. 51. Ami a kiszervezési folyamatot illeti, a belső ellenőrzési funkciónak legalább a következőket kell ellenőriznie: a. az intézménynek vagy pénzforgalmi intézménynek a kiszervezési szabályzatot is magában foglaló kiszervezési kereteit helyesen és hatékonyan betartják-e, és e keretek összhangban vannak-e a hatályos jogszabályokkal és rendelkezésekkel, a kockázati stratégiával és a vezető testület döntéseivel; b. a funkciók kritikus jellegére vagy fontosságára vonatkozó értékelés megfelelősége, minősége és hatékonysága; c. a kiszervezési megállapodások kockázatértékelésének megfelelősége, minősége és hatékonysága, valamint hogy a kockázat az intézmény kockázati stratégiájával összhangban van-e; d. az irányító testületek megfelelő részvétele; valamint e. a kiszervezési megállapodások megfelelő nyomon követése és kezelése. 11 A dokumentációra vonatkozó követelmények 52. Kockázatkezelési keretrendszerük részeként az intézményeknek és pénzforgalmi intézményeknek az intézményi és adott esetben a szubkonszolidált és konszolidált szinten megvalósuló összes kiszervezési megállapodásról aktualizált információs nyilvántartást kell vezetniük a 2. szakasz megállapításainak megfelelően, és megfelelően dokumentálniuk kell minden aktuális kiszervezési megállapodást, különbséget téve a kritikus vagy fontos funkciók kiszervezése és más kiszervezési megállapodások között. A nemzeti jog figyelembevételével az intézményeknek a lezárult kiszervezési megállapodások dokumentációját és az alátámasztó dokumentumokat ebben a nyilvántartásban megfelelő ideig kell tárolniuk. 29 A belső ellenőrzési funkció felelősségi köreit illetően az intézményeknek a belső irányításról szóló EBH-iránymutatás 22. szakaszát (https://eba.europa.eu/regulation-and-policy/internal-governance/guidelines-on-internal-governancerevised-), a pénzforgalmi intézményeknek pedig a pénzforgalmi intézmények engedélyezéséről szóló EBH-iránymutatások 5. iránymutatását kell figyelembe venniük (https://eba.europa.eu/documents/10180/1904583/final+guidelines+on+authorisations+of+payment+institutions+%2 8EBA-GL-2017-09%29.pdf). 30 Lásd még a felügyeleti felülvizsgálati és értékelési eljárásra vonatkozó EBH-iránymutatást: https://eba.europa.eu/regulation-and-policy/supervisory-review-and-evaluation-srep-and-pillar-2/guidelines-forcommon-procedures-and-methodologies-for-the-supervisory-review-and-evaluation-process-srep-and-supervisorystress-testing